如何使用 Get-MgUserAppRoleAssignment 获取 Microsoft Entra ID 用户应用角色分配

获取 Microsoft Entra ID 用户应用角色

获取 Microsoft Entra ID 用户的应用角色列表对于管理员来说非常必要，以确保用户在企业应用中拥有适当的权限，防止未经授权的访问或权限提升。此可见性有助于执行最小权限访问，简化角色审计，并保持符合安全策略。

使用 Microsoft Graph PowerShell 获取 Microsoft Entra ID 用户应用角色分配

前提条件

在使用 Get-MgUserAppRoleAssignment cmdlet 之前，请确保以下事项：

The Microsoft Graph PowerShell module is installed. If not, install it using this script:
Install-Module Microsoft.Graph -Scope CurrentUser
Connect to Microsoft Graph PowerShell with the required permissions to fetch Microsoft Entra ID user app role assignments with this script:
Connect-MgGraph -Scopes "Directory.Read.All"

使用 Get-MgUserAppRoleAssignment 命令获取 Microsoft Entra ID 用户应用角色分配

Get-MgUserAppRoleAssignment cmdlet 可用于 Microsoft Graph PowerShell 中获取 Microsoft Entra ID 用户应用角色分配。语法如下：


                    Get-MgUserAppRoleAssignment 

                    -UserId <String> 

                    [-ExpandProperty <String[]>] 

                    [-Property <String[]>] 

                    [-Filter <String>] 

                    [-Search <String>] 

                    [-Skip <Int32>] 

                    [-Sort <String[]>] 

                    [-Top <Int32>] 

                    [-ConsistencyLevel <String>] 

                    [-ResponseHeadersVariable <String>] 

                    [-Headers <IDictionary>] 

                    [-PageSize <Int32>] 

                    [-All] 

                    [-CountVariable <String>] 

                    [-ProgressAction <ActionPreference>] 

                    [<CommonParameters>]

使用 Get-MgUserAppRoleAssignment cmdlet 的示例用例

列出特定用户的所有分配应用角色

Get-MgUserAppRoleAssignment -UserId <"user_id"> | Format-List Id, AppRoleID, CreationTimeStamp, PrincipalDisplayName,PrincipalId, PrincipalType, ResourceDisplayName

在此命令中，将 user_id 替换为您想要列出其所有分配应用角色的用户 ID。

支持的参数

下表包含一些可与 Get-MgUserAppRoleAssignment 命令一起使用的参数，以高效获取 Microsoft Entra ID 用户应用角色分配。

参数	描述
-All	此参数检索所有用户应用角色分配，无默认分页限制。
-Filter	此参数根据属性和值过滤用户应用角色分配。
-UserId	此参数根据唯一标识符（如用户主体名称或对象 ID）检索用户应用角色分配。
-Property	此参数检索用户应用角色分配的特定属性。
-ConsistencyLevel	启用高级查询功能以提升性能。

使用 Graph PowerShell 脚本获取 Microsoft Entra ID 用户应用角色分配的限制

虽然 Microsoft Graph PowerShell 允许使用 Confirm-MgDomain 验证域所有权，但存在一些限制：

Graph PowerShell 要求 IT 管理员从 Azure AD PowerShell 升级并熟悉 PowerShell 脚本。
Microsoft Graph API 施加限流限制，可能影响批量获取用户应用角色分配时的性能。
脚本可能需要额外工作来格式化和导出数据以用于报告。
需要技术专长来排查错误。
缺乏直观界面使整体体验不够友好，尤其对脚本新手而言。

使用 ADManager Plus 的亮点

直观的界面简化报告生成流程。
提供全面且可自定义的报告，支持计划和自动生成报告。
支持即时执行管理操作以 manage users。
针对大规模环境优化，无需任何脚本即可进行批量操作。
Delegate tasks 给技术人员，无需提升其本地权限。
通过超过 200 pre-packaged reports 密切监控您的 IT 环境。
只需几次点击即可将报告导出为 CSV 或 HTML 等多种格式。

告别 PowerShell 的烦恼，使用 ADManager Plus 轻松管理 Microsoft Entra ID

立即免费试用

使用 Microsoft Graph PowerShell 获取 Microsoft Entra ID 用户应用角色分配
使用 Graph PowerShell 脚本获取 Microsoft Entra ID 用户的限制
使用 ADManager Plus 获取 Microsoft Entra ID 用户应用角色分配的亮点

相关功能：

相关 Powershell 指南：